Ordinanza ingiunzione o revoca n. 617 del 03/09/2026

Sanzione a Bees S.r.l. per email promozionali dopo l’opposizione

Il provvedimento n. 617 del 3 settembre 2026 riguarda la gestione, da parte di Bees S.r.l., delle richieste di opposizione al marketing e di cancellazione presentate da un interessato. Il procedimento è stato avviato a seguito di un reclamo per la ricezione di comunicazioni commerciali dopo che la società aveva confermato l’accoglimento delle richieste.

Fatti e svolgimento del procedimento

L’interessato aveva esercitato i diritti di opposizione e cancellazione il 2 dicembre 2025. Il giorno successivo la società ne aveva confermato l’accoglimento, ma sono seguite circa 33 email commerciali. Rispondendo alla richiesta di informazioni dell’Ufficio del 28 gennaio 2026, Bees ha riferito di avere cancellato i dati dal proprio database, ma non dal CRM, per un errore umano dovuto alla gestione concomitante di una richiesta relativa a una spedizione. Con note del 22 e 30 aprile 2026 ha poi confermato la cancellazione dei dati anche dal CRM.

Il reclamante ha presentato controdeduzioni il 24 aprile 2026. Il 23 giugno 2026 l’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione dell’art. 5, par. 2, e degli artt. 17 e 21 GDPR, oltre che dell’art. 130 del Codice. Nella memoria del 16 luglio 2026 la società non ha contestato nel merito gli addebiti e ha descritto le circostanze dell’errore e gli interventi adottati.

Procedura di gestione e misure correttive

All’epoca dei fatti la procedura era interamente manuale e richiedeva che un operatore intervenisse separatamente su due sistemi: HubSpot, per eliminare il profilo dal CRM, e Sylius, per cancellare l’utente dal database. La stessa società ha descritto la procedura come non sufficientemente robusta.

Bees ha dichiarato di aver reingegnerizzato il processo, passando a una procedura centralizzata e automatizzata: la cancellazione dell’utente dal backend Sylius attiva la sincronizzazione con HubSpot e l’invio automatico di un’email di conferma all’interessato. Sono state inoltre introdotte una procedura di emergenza per la cancellazione manuale in caso di malfunzionamento del backend, attività di formazione per i dipendenti e policy interne omogenee per la gestione delle casistiche GDPR.

Violazioni accertate dal Garante

Il Garante ha ritenuto che la procedura adottata prima dei fatti fosse rudimentale e priva sia di misure tecniche adeguate sia di accorgimenti organizzativi idonei a rendere efficace il processo manuale. L’Autorità ha richiamato il principio di accountability dell’art. 5, par. 2, GDPR, che richiede al titolare di rispettare i principi del Regolamento e di essere in grado di dimostrarne il rispetto, adottando e verificando nel tempo misure adeguate.

La mancata cancellazione dal CRM ha comportato la prosecuzione del trattamento dei dati per finalità di marketing, nonostante l’opposizione espressa. Il Garante ha quindi accertato la violazione:

• dell’art. 5, par. 2, GDPR, per l’inadeguatezza delle procedure e dei presidi di conformità;
• degli artt. 17 e 21 GDPR, per la mancata effettiva cancellazione e per la prosecuzione del trattamento a fini di marketing dopo l’opposizione;
• dell’art. 6, par. 1, lett. a), GDPR e dell’art. 130 del Codice, per l’invio di circa 33 email promozionali senza un’idonea condizione di liceità.

Il Garante ha ricordato che, ai sensi dell’art. 21, par. 3, GDPR e dell’art. 130, comma 2, del Codice, quando l’interessato si oppone al marketing diretto i dati non possono più essere trattati per tali finalità. L’art. 130, comma 2, consente l’invio di comunicazioni commerciali via email previo consenso; il comma 4 prevede una deroga circoscritta all’indirizzo email ottenuto nel contesto della vendita di beni o servizi analoghi, ferma la possibilità di opposizione in ogni momento. Nel caso concreto non risultavano un consenso o rapporti contrattuali idonei a giustificare l’invio e, in ogni caso, l’opposizione era stata manifestata esplicitamente.

Sanzione e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR. Il limite massimo è stato individuato nella sanzione prevista dall’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice: fino a 20.000.000 di euro.

Nel determinare l’importo ai sensi dell’art. 83, par. 2, GDPR, l’Autorità ha considerato che il caso riguardava dati comuni di un solo interessato e che la condotta era dovuta a colpa lieve, in forma di negligenza, non a dolo. Ha qualificato come basso il livello di gravità, richiamando le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, adottate il 24 maggio 2023, punto 60. Sono state inoltre valutate le azioni correttive e preventive, l’assenza di precedenti violazioni pertinenti, l’elevata cooperazione con l’Autorità, il volume d’affari e l’operatività della società dal 2017. In applicazione dei principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR, è stata irrogata una sanzione di 2.000 euro.

Dispositivo, pagamento e ricorso

Il Garante ha dichiarato illecita la condotta e ha ordinato il pagamento di 2.000 euro ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, il pagamento deve avvenire entro 30 giorni dalla notificazione, secondo le modalità indicate nell’allegato, a pena dell’adozione degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. È fatta salva la possibilità di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011 per la proposizione del ricorso.

È stata disposta la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito internet del Garante, nonché l’annotazione delle violazioni e delle misure nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR. Ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, il provvedimento può essere impugnato davanti al tribunale ordinario competente entro 30 giorni dalla comunicazione, termine elevato a 60 giorni per chi risiede all’estero.